PHP2Shellは、PHPのコアで最近修正された重大な脆弱性群で、深刻度はCVSS 9.2に達します。認証されていない攻撃者がこれを利用してコードを実行したり、機密性の高いプロセスメモリを露出させたりできる可能性があります。PHPは、WordPress、Drupal、ウィキペディアのMediaWikiなどのプラットフォームを含む、約70%のウェブサイトを支えています。
Wiz ResearchのSagi Tzadik、Shir Tamari、Nir Ohfeld、Tomer Schwartzらの研究者は、Open AI Codex Security（Amy Burnett）ほかと共に、責任ある開示に取り組みました。脆弱性はPHP自体に存在するため、アプリケーションのコードが安全であっても、ウェブサイトは影響を受ける可能性があります。影響を受けるPHPバージョン上で動作する単純な「Hello World」アプリケーションだけで、露出するには十分です。最新のパッチ適用済みPHPリリースを実行しているサイトは保護されています。PHPチームは迅速に対応し、包括的な修正について研究者と緊密に協力しました。
脆弱性は2つのクラスに分かれ、CVE-2026-109618およびCVE-2026-109619として追跡されています。1つ目はメモリ枯渇による破損で、PHPのウェブワーカーとして認証なしにコードを実行できる可能性があります。2つ目はリクエスト間で古くなったグローバル状態に関するもので、解放後使用（use-after-free）を引き起こし、ワーカーのメモリを漏えいさせたりコードを実行させたりする可能性があります。研究者は、テスト時点の最新コンテナイメージを用いて、WordPress、Drupal、Joomlaに対する認証前のリモートコード実行を実証し、アプリケーションに依存しないメモリ漏えいも示しました。
攻撃者は、サーバーを乗っ取ったり、機密データにアクセスしたり、他のリクエストからパスワード、認証トークン、APIキー、証明書を読み取ったりできる可能性があります。メモリ漏えいは、まずコード実行を達成しなくてもデータを盗むことができ、活動の検知をより困難にします。唯一の完全な修正は、すべての実行環境に修正済みのPHPリリースをインストールし、Apache、PHP-FPM、および長時間稼働するすべてのPHPワーカーを再起動することです。アプリケーションを更新しても、その下のPHP実行環境は更新されません。
出典: Hacker News · 要約：HeadlinesBriefing